Tinba-Trojaner versteckt sich in manipuliertem Microsoft-Tool

Die Malware Tiny Banker, kurz Tinba, hat der Sicherheitsspzialist Avast in einer auf polnische Nutzer gerichteten Variante in einem manipulierten Microsoft-Tool entdeckt. Das Programm WinObj stammt aus der Entwicklung von der Softwareschmiede Sysinternals, die Microsoft 2006 übernommen hatte. Im Unterschied zur Originaldatei verfügt die gefälschte Variante über kein Zertifikat.

Die Malware gelangt über als Bilder getarnte E-Mail-Anhänge auf den Rechner. Die E-Mail-Header sehen wie folgt aus:

Statt Bildern befinden sich in den Anhängen die ausführbaren Dateien – IMG-0084(JPEG).JPEG.exe und fotka 1.jpeg.exe. Avast hat die Konfigurationsdatei des Trojaners näher untersucht. Darin enthalten sind die Banken auf deren Kunden es die Malware abgesehen hat. Dazu zählen die polnischen Unternehmen Bank Zachodni WBK, Bank Pekao, BOS Bank, BGZ GNP Paribas, eurobank,GBSBank,mBank, Toyota Bank und Spóldzielcza Grupa Bankowa. Frühere Versionen von Tinba hatten es auch auf weltweit vertreten Banken abgesehen. Darunter fanden sich etwa Bank of America, UBS, CityBank und HSBC.

Hat Tinba erstmal ein System infiziert, leitet der Trojaner nichtsahnende Anwender beim Anmelden an ihr Online-Bankkonto auf eine fingierte Webseite um. Diese fragt im Namen der Bank nach Zugangsdaten oder zeigt eine gefälschte Nachricht an, laut der scheinbar versehentlich überwiesenes Geld, schnellstmöglich zurücküberwiesen werden müsse – natürlich auf das Konto der Cyberkriminellen.

Anwender können sich gegen Tiny Banker durch Installation einer aktuellen Antviren-Lösung schützen. Sie erkennen die Malware und entfernen sie vom System.